Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. Daarmee is de Europese NIS2-richtlijn in Nederland geïmplementeerd. Organisaties die als essentiële of belangrijke entiteit onder de wet vallen, moeten onder meer voldoen aan een zorgplicht voor hun cyberbeveiliging.
Maar wat als uw ICT-bedrijf zelf niet onder de Cbw valt, terwijl uw klant dat wél doet? Ook dan kunt u met de gevolgen van de wet te maken krijgen. Niet rechtstreeks op grond van de Cbw, maar via uw klant en het contract dat u met die klant sluit. In deze blog gaan wij hier nader op in.
De zorgplicht stopt niet bij de eigen organisatie
Een essentiële of belangrijke entiteit moet passende en evenredige technische, operationele en organisatorische maatregelen nemen om cyberbeveiligingsrisico's te beheersen.
Onder die zorgplicht valt uitdrukkelijk ook de beveiliging van de toeleveringsketen. Daarbij gaat het onder meer om beveiligingsaspecten in de relatie met rechtstreekse leveranciers en dienstverleners.
Het Cyberbeveiligingsbesluit maakt dit concreter. Een Cbw-plichtige organisatie moet beleid hebben voor de beveiliging van haar toeleveringsketen. Zij moet bovendien periodiek toetsen of relevante rechtstreekse leveranciers en dienstverleners aan de toepasselijke beveiligingseisen voldoen.
Een IT-leverancier valt dus niet automatisch onder de Cbw omdat zijn klant daaronder valt. Maar die klant moet wél grip krijgen op de cyberrisico's bij zijn leveranciers. Op die manier komt de Cbw in het ICT-contract terecht.
Voor ICT-leveranciers is vooral van belang hoe een klant aan die verplichtingen uitvoering geeft. De Rijksinspectie Digitale Infrastructuur (RDI) wijst daarbij nadrukkelijk op schriftelijke afspraken met leveranciers.
In een ICT-contract kunnen daardoor bijvoorbeeld afspraken nodig zijn over:
concrete beveiligingsmaatregelen;
de rol en verantwoordelijkheden bij beveiligingsincidenten;
informatie die de leverancier bij een incident moet verstrekken;
assessments of audits om naleving van beveiligingsafspraken te controleren;
veilige ontwikkeling en onderhoud van software;
omgang met data, apparatuur en toegangsrechten bij beëindiging van het contract.
Daarbij geldt geen standaardpakket dat iedere leverancier zonder meer moet accepteren. De maatregelen onder de Cbw moeten passend en evenredig zijn. Het Cyberbeveiligingsbesluit verlangt bovendien dat de Cbw-plichtige organisatie rekening houdt met haar afhankelijkheid van de producten en diensten van leveranciers en dienstverleners.
Incidentbepalingen
Bijzondere aandacht verdienen contractuele meldplichten bij beveiligingsincidenten.
Een Cbw-plichtige organisatie heeft zelf wettelijke verplichtingen bij significante incidenten. Wanneer zo'n incident zijn oorsprong vindt bij een SaaS-, cloud- of andere ICT-leverancier, is de klant voor een tijdige beoordeling en melding afhankelijk van informatie van die leverancier.
Vaak zullen klanten daarom niet alleen af willen spreken dát een leverancier beveiligingsincidenten meldt, maar ook binnen welke termijn, aan wie en met welke informatie. Een bepaling als 'leverancier informeert klant zo spoedig mogelijk' kan daarvoor te weinig houvast bieden.
Voor de leverancier is de andere kant minstens zo belangrijk. Een zeer ruime contractuele meldplicht kan verder gaan dan wat nodig is om de klant aan zijn Cbw-verplichtingen te laten voldoen. Ook auditrechten, informatieverplichtingen en beveiligingsgaranties verdienen daarom een kritische beoordeling.
Bestaande contracten verdienen ook aandacht
De Cbw is inmiddels van kracht. Voor organisaties die onder de wet vallen is leveranciersmanagement daarmee niet alleen meer een onderwerp voor nieuwe aanbestedingen of nieuwe ICT-contracten. Ook bestaande leveranciersrelaties moeten in het beleid voor de toeleveringsketen worden betrokken. De RDI noemt daarbij risicoanalyses van bestaande leveranciers en het periodiek controleren van gemaakte beveiligingsafspraken. Dat kan betekenen dat een ICT-leverancier wordt geconfronteerd met een verzoek om bestaande afspraken aan te vullen met een security- of NIS2-addendum.
Wat kunt u nu doen?
Controleer als IT-leverancier voordat u overeenkomsten rondom de Cbw ondertekent, zoals een Cbw- of NIS2-addendum, welke verplichtingen u precies op u neemt. Dat uw klant aan de Cyberbeveiligingswet moet voldoen, betekent niet dat iedere wettelijke verplichting één-op-één bij u kan of moet worden neergelegd.
Krijgt u als ICT-leverancier een NIS2- of Cbw-documenten van een klant, of wilt u als ICT-afnemer weten of uw bestaande leverancierscontracten voldoende aansluiten op de Cyberbeveiligingswet?
Legalz kan uw ICT-contracten en securityafspraken hierop beoordelen en waar nodig aanpassen of ondersteunen bij de onderhandelingen.
Neem vrijblijvend contact met ons op, via telefoonnummer 010-2290646 of klik op onderstaande button.